nihan-silent-reign/cve-2026-43284-dirty-frag-تحليل تقني لـ CVE-2026-43284 (Dirty Frag)، وهو تصعيد محلي للامتيازات في نواة Linux عبر xfrm ESP يتيح الكتابة في ذاكرة page-cache لملفات القراءة فقط للوصول إلى اختراق الجذر.
تحليل تقني مفصّل للثغرة CVE-2026-43284 (Dirty Frag) الخاصة بتصعيد الصلاحيات المحلي في نواة Linux.
تُعدّ CVE-2026-43284 (المشار إليها عادةً كجزء من مجموعة ثغرات Dirty Frag) ثغرةً حرجة لتصعيد الصلاحيات المحلي (LPE) في نواة Linux. وهي ناتجة عن خلل منطقي داخل النظام الفرعي لإدخال xfrm ESP (Encapsulating Security Payload). تتيح هذه الثغرة لمهاجم محلي غير متميّز بتجاوز حمايات النسخ عند الكتابة (Copy-on-Write, CoW) المعتادة وتحقيق بدائية كتابة عشوائية في ذاكرة التخزين المؤقت للصفحات (page-cache) داخل ملفات النظام للقراءة فقط (مثل /usr/bin/su)، مما يؤدي في النهاية إلى اختراق كامل بصلاحيات root.
تفصيل الثغرة وناقل الهجوم1.
القيد: يتطلب التفاعل مع إعدادات IPsec في النواة عادةً القدرة CAP_NET_ADMIN، وهي صلاحية محصورة بالمستخدم العادي. التجاوز: يمكن لمستخدم محلي غير متميّز إنشاء User Namespace وNetwork Namespace منفصلين وغير متميّزين (باستخدام أعلام مثل CLONE_NEWUSER | CLONE_NEWNET). داخل مساحة الحاوية المعزولة غير المتميّزة هذه، يصبح المهاجم عملية "root" في مساحة الأسماء تلك، مما يمنحه صلاحيات CAP_NET_ADMIN ضمن ذلك السياق المحدود.
مع امتلاك CAP_NET_ADMIN داخل مساحة الشبكة المخصّصة، يقوم المهاجم بتهيئة Security Association (SA) وهمية وسياسات IPsec.
باستخدام استدعاءات النظام مثل splice(2) أو vmsplice(2)، يربط المهاجم صفحات تنتمي إلى ملف هدف للقراءة فقط (مثل /usr/bin/su) داخل جزء من مخزن مؤقت للمقبس (skb).
القيد: يجب على المهاجم إجبار النواة على تحليل البيانات عبر روتين esp_input().
الاستراتيجية: ينشئ المهاجم بنية شبكة تغليف ESP-in-UDP ويوجّه الإرسال إلى واجهة loopback الخاصة بالمضيف (127.0.0.1).
عند استقبال الحزمة محليًا عبر قناة loopback، يتعرّف مكدّس الشبكة في النواة على غلاف حزمة UDP، ويفكّ تغليفها، ويسلّم الحمولة الداخلية إلى esp_input() للمعالجة.
بسبب خلل منطقي في مسارات إلحاق مخططات بيانات IPv4/IPv6، تفشل النواة في وسم أجزاء مخزن المقبس المؤقت الأساسية بشكل صحيح بالعلم SKBFL_SHARED_FRAG عند ربط الصفحات في مقابس UDP.
وبالتالي، يفسّر esp_input() الحزمة خطأً على أنها مخزن مؤقت خاص غير مستنسخ، ويسلك مسارًا سريعًا لتحسين الأداء "no-COW".
فبدلًا من نسخ البيانات إلى مخزن مؤقت آمن للمستخدم، ينفّذ esp_input() فك تشفير موضعي مباشرةً فوق صفحات الذاكرة المستعارة من ذاكرة التخزين المؤقت للصفحات في النظام
من خلال الضبط الدقيق لبيانات الحمولة المشفّرة واستخدام تهيئة الخوارزمية التشفيرية (مثل Extended Sequence Numbers)، تعيد عملية فك التشفير كتابة الملف التنفيذي المستهدف في ذاكرة التخزين المؤقت للصفحات بشكل حتمي.
وبمجرد تسميم ذاكرة التخزين المؤقت لصفحات ملف تنفيذي مثل /usr/bin/su في الذاكرة بحمولة المهاجم، يؤدي تنفيذ الملف التنفيذي إلى تشغيل الحمولة بصلاحيات root دون لمس أو تعديل الملف التنفيذي المخزّن على القرص الفعلي.
التأثير: تصعيد صلاحيات محلي حتمي عالي الموثوقية عبر توزيعات Linux المؤسسية الرئيسية دون المخاطرة بحدوث kernel panics.
المعالجة: تحديث نواة Linux إلى إصدارات تتضمن التصحيح الذي يفرض معالجة SKBFL_SHARED_FRAG لعمليات ربط مخططات البيانات ويقدّم بديلًا آمنًا إلى skb_cow_data() داخل منطق معالجة ESP.
